Passkeys e o relé de phishing: por que a vinculação à origem vence os códigos de uso único
Kits de phishing que se colocam entre o usuário e a página de login genuína se tornaram uma das formas mais confiáveis de vencer a autenticação multifator. A vítima digita um código de uso único, o kit o retransmite ao site real em segundos, e o atacante fica com a sessão que volta. Uma passkey quebra esse relé como nenhum método baseado em códigos: simplesmente não há nada na tela para copiar.
Como os kits AiTM devoram códigos de uso único
A Microsoft documentou a mecânica em detalhes: acompanhou uma campanha que atingiu mais de 10.000 organizações a partir de setembro de 2021. O atacante opera um proxy reverso que entrega uma cópia pixel a pixel da página real de login em seu próprio domínio e mantém duas sessões TLS: uma com a vítima, outra com o site genuíno. Senhas e cookies de sessão fluem pelo meio, e o atacante entra como o usuário. A Microsoft frisou que não se trata de uma vulnerabilidade do MFA; o código é genuíno, o login é genuíno, e o kit fica simplesmente com o que o usuário entrega (Microsoft). A técnica não sumiu. Em janeiro de 2026, pesquisadores da Microsoft descreveram uma campanha AiTM em múltiplas etapas contra organizações do setor de energia, que chegava por links de SharePoint abusados e terminava em fraude financeira (Microsoft). Um ano de telemetria da Kaspersky, publicado em agosto de 2026, contabilizou mais de 390.000 páginas de phishing em plataformas de nuvem legítimas, muitas com bibliotecas de proxy de código aberto e janelas browser-in-the-browser que falsificam a barra de endereços (Kaspersky). O kit moderno retransmite o código, a aprovação push e o cookie resultante em tempo real. Tudo, menos a URL, é real.Vinculação à origem: o domínio faz parte da credencial
O WebAuthn, o padrão por trás das passkeys, funciona de outro jeito. No registro, o site e o navegador criam um par de chaves pública e privada restrito a um ID de parte confiável (relying party ID), na prática o domínio do site. A chave privada nunca sai do dispositivo, e o navegador só oferece uma credencial quando a origem da página corresponde a esse ID. A documentação da Mozilla resume a consequência sem rodeios: um invasor que constrói um site falso de login não consegue entrar como o usuário, porque a assinatura muda conforme a origem do site (Mozilla). A FIDO Alliance descreve as passkeys como únicas por site ou aplicativo — é exatamente isso que deixa o credential stuffing sem material (FIDO Alliance). A Cisco Talos mostrou o que isso significa para kits de proxy: uma vítima que cai em um domínio falso que imita o banco não consegue concluir a cerimônia WebAuthn, porque o navegador não oferece uma credencial vinculada ao domínio real no falso. A autenticação falha antes que qualquer segredo seja transmitido (Cisco Talos).Um kit de proxy pode retransmitir tudo o que o usuário digita. Não pode retransmitir uma credencial que o navegador nunca oferece.Mesmo quando a cerimônia acontece, nada reutilizável cruza o fio. O servidor envia um challenge aleatório bem grande, o autenticador o assina com a chave privada, e a assinatura prova a posse sem revelar segredo algum, como nota a especificação da Mozilla. Um proxy pode encaminhar essa assinatura, mas o site genuíno veria então uma resposta que alega uma origem que ele nunca serviu, com uma credencial cujo ID de parte confiável ele verifica justamente para esse caso. Não há código correndo contra um temporizador de trinta segundos nem cookie cunhado do lado do atacante.